L2 VPN nasuprot L3 tunelu: pet provjera prije premosćivanja lokacije

Premošćujete lokaciju jer neki alat insistira da mora biti na istoj mreži, a tri sedmice kasnije u dva sata ujutro čitate dnevnike preklopnika. Takav osjećaj odlučuje o previše Ethernet-over-IP veza. Ovdje je zapravo važna samo jedna razlika: putuju li cijeli okviri od kraja do kraja ili putuju samo IP paketi. Izvedite pet provjera ispod redom i zaustavite se na prvoj koja padne.

Provjerite šta aplikacija zaista stavlja na mrežu

Prije nego što se u razgovoru pojavi bilo koje ime proizvoda, snimite minutu saobraćaja koji mora preći vezu: tcpdump -i eth0 -nn -e 'not ip'. Zastavica -e ispisuje zaglavlje sloja veze, a to je upravo dio koji rutirani tunel odbacuje. Ako snimak ostane prazan, vaša aplikacija govori IP i L3 tunel je prenosi nepromijenjenu. Ako se okviri ipak pojave, zabilježite EtherType, jer 0x0806 je ARP, 0x88cc je LLDP, a vrijednost proizvođača obično znači protokol otkrivanja bez IP rezerve. To je tačka u kojoj običan tun interfejs prestaje biti dovoljan.

Ponovite snimak i na udaljenoj strani. Okvir koji postoji samo unutar virtuelnog preklopnika jednog hosta nije razlog da razvučete broadcast domenu preko WAN-a.

Provjerite mora li otkrivanje preći vezu

Rutirani tunel nema zajednički segment, pa ništa adresirano na grupu ne stiže na drugu stranu. ARP, DHCP broadcast, mDNS na 224.0.0.251, SSDP i NetBIOS upiti imena svi pretpostavljaju vezu koju nekoliko hostova čuje istovremeno.

Pitajte o kojima od njih aplikacija zaista zavisi i postoji li za to već proxy. DHCP relay, mDNS refleksija i statički ARP unosi svaki uklanjaju po jednu zavisnost, a svaki je još jedna usluga koju treba pokretati i nadzirati. Kada ostanu dva ili tri, premošćivanje je iskren odgovor.

Provjerite koliko vas košta dodatno zaglavlje

Okviri moraju negdje živjeti, pa sve što pošaljete dobija drugi stog zaglavlja oko sebe. U VXLAN preklopu to znači vanjsko IP zaglavlje, UDP zaglavlje i 8-bajtno VXLAN zaglavlje, što puni teret od 1,500 bajtova gura preko MTU putanje obične internet veze od 1,500 bajtova. OpenVPN u tap režimu dodaje vlastiti trošak u istom smjeru. Bez nižeg MTU na unutrašnjoj strani dobijate vezu koja odgovara na ping i zapne na prvom velikom prijenosu.

Račun se ne zaustavlja na bajtovima zaglavlja. Broadcast i multicast koje preklopnik obrađuje u hardveru sada idu preko WAN-a, a svaka premošćena lokacija nasljeđuje isti plan adresa, DHCP opseg i ponašanje s duplim adresama. To vezu čini znatno težom za reviziju od rutiranog pula s jednim prefiksom po lokaciji.

Izračunajte prije nego što izaberete. Zauzet segment repliciran na tri lokacije može prenijeti više broadcast saobraćaja nego prijenosi datoteka zbog kojih je napravljen.

Provjerite koja vrsta L2 VPN-a vam se nudi

Sam termin je dvosmislen, a ta dvosmislenost odlučuje ko prenosi vaš saobraćaj. Ponekad opisuje teret: Ethernet okvire unutar IP-a, poslane preko interneta kao i svaki drugi tunel, kako to rade VXLAN, ZeroTier i OpenVPN tap režim. Ponekad opisuje kupljenu uslugu: Ethernet krug operatora ili MPLS pseudowire koji spaja dvije lokacije unutar jedne mreže provajdera.

Oba vam daju segment, pa ih aplikacija ne može razlikovati, ali operativna razlika je velika. Preklop ostavlja vama odgovornost za MTU, šifriranje i donju putanju. Usluga operatora to preuzima i naplaćuje, i uopće neće rutirati vaše okvire preko javnog interneta. Koji želite zavisi od toga dijele li dvije lokacije operatora ili samo kompaniju.

Provjerite jeftinije rješenje prije premošćivanja

Većina zahtjeva za premošćenom vezom dolazi od jednog pokvarenog pretraživanja, a ne od protokola kojem okviri zaista trebaju. Prvo provucite resolver i domenu pretrage kroz rutirani tunel: dhcp-option DNS 10.8.0.1 zajedno s dhcp-option DOMAIN internal.example u konfiguraciji OpenVPN servera rješava iznenađujuće mnogo njih. Lokalni prosljeđivač na udaljenoj strani radi isti posao bez premještanja ikakvog broadcast saobraćaja.

Ako jedan stari alat i dalje ne radi, stavite taj alat iza proxyja ili jump hosta na odredišnom segmentu. Jedan TCP prosljeđivač je jeftiniji za rad od premošćenog WAN-a.

Zatvorite odluku redom: nosi li saobraćaj ne-IP EtherType, mora li otkrivanje preći, može li MTU upiti dodatna zaglavlja, je li krug provajdera zaista dostupan i je li rutirano rješenje palo iz razloga koji možete imenovati? Ne na bilo kojem koraku završava raspravu u korist tunela koji već imate. Priložite snimak i listu EtherType uz zapis o promjeni, jer će sljedeća osoba postaviti isto pitanje i neće htjeti ponoviti mjerenje.